Go URGENT e altre notizie sviluppo, 27 ottobre 2026

In breve: il 27 ottobre 2026 le notizie di sviluppo partono dal resoconto del team Go sul caso eMudhra: circa sette ore e mezza dopo l'avviso è uscita la prima release di sicurezza URGENT della storia di Go. systemd accetta il Rust per i nuovi componenti periferici, il progetto Rust spiega come finanziare chi ci lavora e GitHub rende disponibili a tutti i permessi assistiti di Copilot, dove un LLM decide quali comandi sono sicuri. Ci sono anche il Type Server Protocol di Microsoft per l'analisi dei tipi Python, Pharo 14, le installazioni pnpm più veloci su Vercel e i nuovi kernel stabili. Chiudono sette release.

Le notizie sono verificate sulle fonti originali, linkate in ogni titolo. Le patch per la falla Brotli in .NET e PHP e le falle di Wasmtime sono nelle notizie cybersecurity di oggi. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie sviluppo software e l'uscita precedente in Notizie sviluppo del 26 ottobre. Per scegliere cosa lasciar fare a un agente senza conferma c'è la guida su AGENTS.md, CLAUDE.md e Cursor.

Linguaggi e runtime

Go racconta la sua prima release di sicurezza URGENT, per il caso eMudhra

Fonte: The Go Blog · 26 ottobre 2026

Il 19 ottobre il team di sicurezza di Go ha saputo che le chiavi di otto certificati intermedi emessi sotto una radice di eMudhra erano così deboli da poterne ricavare la chiave privata in microsecondi, e che quindi chiunque poteva firmare certificati TLS validi per qualsiasi dominio. Su Linux Go usa un verificatore proprio, senza un meccanismo di revoca uniforme, e il team ha scelto di togliere la fiducia a quei certificati direttamente nella libreria standard. La patch è uscita circa sette ore e mezza dopo l'avviso, con la prima release della procedura URGENT, che salta i preannunci di più giorni.

Perché conta: chi compila servizi Go per Linux deve ricompilarli con la release del 19 ottobre o successiva, perché la protezione sta nel binario e non nel sistema.

systemd accetta il Rust per i nuovi componenti

Fonte: LWN · 26 ottobre 2026

Il progetto systemd ha aggiunto il supporto per scrivere in Rust i componenti periferici: il Rust sarà usato solo per i nuovi, e il codice esistente non verrà convertito. Gli sviluppatori vorrebbero portarlo anche nel nucleo di systemd, ma i limiti del supporto alle librerie dinamiche in Rust gonfierebbero ogni binario.

Perché conta: dopo il kernel, un altro pezzo centrale di Linux apre al Rust, con un'adozione graduale invece di una riscrittura.

Il progetto Rust spiega come finanziare chi ci lavora

Fonte: Rust Blog · 26 ottobre 2026

Il post indica tre strade: donare al Maintainers Fund della Rust Foundation o al team di manutentori di RustNL per la manutenzione generale, sponsorizzare i Project Goals finanziabili per funzionalità specifiche, e sostenere i singoli contributori con GitHub Sponsors. Secondo il progetto i finanziamenti avviati quest'anno hanno già aiutato su allocatori, never type, nuovo trait solver e borrow checker Polonius, ma solo una parte di chi lavora su Rust è pagata.

Perché conta: per un'azienda che usa Rust in produzione è la mappa più chiara per contribuire senza passare dalle singole issue.

Pharo 14, nuovi strumenti e JIT per RISC-V

Fonte: Pharo · 26 ottobre 2026

La nuova versione dell'ambiente Smalltalk introduce Mission Control e Pulse, che sostituisce Spotter, riscrive il Method Browser e il Settings Browser e porta i refactoring su un'architettura basata su driver con un registro di comandi unico. La macchina virtuale aggiunge il JIT per RISC-V e migliora la gestione della memoria. Da questa versione le release passano dalla primavera all'autunno.

Perché conta: è un esempio ancora vivo di ambiente in cui si modifica il programma mentre gira, un'idea che gli IDE moderni riprendono solo in parte.

Kernel Linux stabili 7.2.13 e 6.18.59

Fonte: LWN · 26 ottobre 2026

Greg Kroah-Hartman ha annunciato i kernel stabili 7.2.13 e 6.18.59, ciascuno con una serie di correzioni importanti.

Perché conta: chi compila il kernel da sé o usa distribuzioni che seguono i rami stabili ha un aggiornamento da pianificare.

Strumenti e piattaforme

Copilot, i permessi assistiti sono disponibili a tutti

Fonte: GitHub Changelog · 26 ottobre 2026

Nella CLI di Copilot, nell'app Copilot e in Visual Studio Code, quando l'agente chiede di eseguire un comando, accedere a un percorso o aprire un URL, un LLM valuta la richiesta: quelle classificate come chiaramente sicure procedono da sole, le altre richiedono l'approvazione. Gli amministratori enterprise possono bloccare la modalità che consente tutto lasciando disponibile quella assistita, oppure disattivare anche questa.

Perché conta: è una via di mezzo tra approvare ogni comando e lasciar fare tutto all'agente. Il giudizio però resta di un modello, quindi i comandi distruttivi conviene bloccarli con regole esplicite.

Microsoft documenta il Type Server Protocol per l'analisi dei tipi Python

Fonte: Microsoft, repository pylance-release · ottobre 2026

Il Type Server Protocol è un protocollo JSON-RPC per chiedere a un server dei tipi dati di analisi Python: versione del protocollo, snapshot, percorsi di ricerca, risoluzione degli import e tipi calcolati, dichiarati e attesi. Riusa le strutture del Language Server Protocol, come Position e Range, e i metodi hanno il prefisso typeServer/. Finché resta nella serie 0.x, le versioni minori possono introdurre cambi incompatibili.

Perché conta: separare l'analisi dei tipi dal language server permette a strumenti diversi di condividere lo stesso motore.

Su Vercel le installazioni pnpm sono più veloci del 14%

Fonte: Vercel Changelog · ottobre 2026

Vercel riusa tra un deploy e l'altro la verifica delle dipendenze già riuscita. Per i deploy Pro con la cache di build ripristinata, il tempo medio di installazione è sceso del 14%, e quando le dipendenze non cambiano l'installazione può chiudersi in millisecondi. Vale per tutti i piani, senza configurazione.

Perché conta: è tempo di build risparmiato su ogni deploy, senza toccare il progetto.

Release della settimana

pnpm 12.16.0

Cosa fa: corregge una gestione della memoria non sicura con i dati compressi zstd e una firma che poteva far trapelare la chiave privata tramite i tempi di esecuzione (RUSTSEC-2026-0387); un link simbolico che pnpm non riesce a puntare ora fa fallire l'installazione con un errore chiaro invece di un crash.

Utilità: le installazioni concorrenti nel workspace non perdono più righe dell'indice dello store.

Verdict: da prendere per le correzioni di sicurezza.

uv 0.13.6

Cosa fa: aggiunge CPython 3.11.18, 3.12.16, 3.13.18, 3.14.10 e 3.15.2, le release di sicurezza del 26 ottobre, e riduce il picco di memoria nella risoluzione dei workspace grandi.

Utilità: con uv python install si passa subito alle versioni con le chiavi eMudhra bloccate nel modulo ssl.

Verdict: aggiornamento consigliato.

ruff 0.17.3

Cosa fa: evita conversioni sbagliate in f-string della regola UP032, aggiunge in anteprima la regola shared-clock-mock e velocizza il lexer e ruff format.

Utilità: meno correzioni automatiche da rivedere a mano.

Verdict: aggiornamento tranquillo.

Claude Code 2.1.311

Cosa fa: le sessioni a contesto standard che superano 200.000 token vengono compattate invece di fermarsi chiedendo crediti per il contesto da un milione; i subagenti possono usare gli strumenti MCP dei server che si collegano dopo il loro avvio, e dopo la compattazione Claude vede i MEMORY.md e CLAUDE.md aggiornati.

Utilità: meno sessioni lunghe interrotte a metà.

Verdict: da prendere.

Pydantic AI 2.62.0

Cosa fa: permette di cambiare il livello di ragionamento a metà conversazione con OpenAI e Anthropic, aggiunge le categorie di errore ModelRequestRejectedError, ModelAuthenticationError e ModelNotFoundError e prefissa con il nome del servizio gli strumenti dei server MCP ospitati.

Utilità: gli errori di autenticazione e di modello inesistente si gestiscono separatamente dagli altri.

Verdict: leggere le note di compatibilità prima di aggiornare, perché il prefisso dei nomi degli strumenti cambia il comportamento predefinito.

n8n 2.44.7

Cosa fa: avvia il workflow di errore dei sotto-workflow quando fallisce un controllo preliminare, rallenta i tentativi di riconnessione del trigger IMAP e aggiorna certifi nel task runner alle versioni del 19 e 23 ottobre.

Utilità: l'aggiornamento di certifi porta nel task runner Python la lista di certificati aggiornata dopo il caso eMudhra.

Verdict: da prendere per chi usa il task runner.

openai-python 3.39.0

Cosa fa: aggiunge il supporto per il nuovo modello gpt-6.1-terra.

Utilità: serve per usare GPT-6.1 Terra con i tipi aggiornati dell'SDK.

Verdict: da prendere se si prova il nuovo modello.

Status runtime

• Node.js: 26.12.1 Current e 24.22.1 LTS, release di sicurezza del 21 ottobre, nessuna nuova versione da allora
• TypeScript: 7.0.2 stabile, 7.1 beta dal 20 ottobre
• Python: 3.15.2 stabile dal 26 ottobre, con 3.14.10 e le release di sicurezza dei rami precedenti
• Flutter: 3.47.8 stable e 3.50.0-0.2.pre beta, entrambe del 23 ottobre